WeedHack — это вредоносное ПО, крадущее информацию, с возможностями Remote Access Trojan (RAT), которое в первую очередь нацелено на игроков Minecraft. Оно распространяется путём маскировки вредоносных Java-файлов под моды, клиенты Minecraft и другие игровые инструменты. WeedHack работает как Malware-as-a-Service (MaaS), то есть разработчики предоставляют инфраструктуру вредоносного ПО другим киберпреступникам, которые могут использовать её для создания вредоносных загрузок и управления заражёнными устройствами.
После запуска вредоносное ПО WeedHack собирает информацию о скомпрометированном компьютере, включая операционную систему, имя пользователя, имя компьютера, процессор, GPU, память и IP-адрес. Оно также может делать скриншоты рабочего стола жертвы. Однако системная разведка составляет лишь небольшую часть его функциональности.
Одна из основных целей WeedHack — кража учетных данных и информации об аутентификации. Вредоносное ПО нацеливается на данные, хранящиеся в веб-браузерах, включая сохранённые пароли и файлы cookie. Также оно ищет информацию о сессиях, связанных с такими платформами, как Discord, Steam и Telegram. Получение активных данных сессий потенциально может позволить злоумышленникам получить доступ к аккаунтам, не полагаясь исключительно на украденные пароли.
Аккаунты Minecraft специально нацелены. WeedHack ищет информацию об аутентификации Minecraft и токены, хранящиеся сторонними лаунчерами. Доступ к действительным сессионным токенам может потенциально позволить злоумышленникам захватить аккаунт жертвы в Minecraft.
WeedHack также нацеливается на информацию, связанную с криптовалютой. Он ищет скомпрометированные системы в поисках расширений для браузера и десктопных приложений, связанных с криптовалютными кошельками. Если злоумышленники получают полезные данные кошелька или информацию об аутентификации, криптовалюта, принадлежащая жертве, может оказаться под угрозой.
Другой компонент ищет на заражённом компьютере файлы, совпадающие с ключевыми словами, выбранными злоумышленником. Это позволяет операторам WeedHack находить потенциально ценные документы или другую информацию, хранящуюся на устройстве, без ручного поиска каждой папки.
Премиальная функциональность вредоносного ПО значительно выходит за рамки кражи информации. WeedHack включает возможности RAT, которые позволяют злоумышленникам получить интерактивный доступ к заражённым компьютерам. Операторы могут удалённо просматривать рабочий стол жертвы и предоставлять ввод с клавиатуры и мыши, что позволяет им взаимодействовать с приложениями, работающими на скомпрометированной системе.
Дополнительные возможности наблюдения включают кейлогинг и доступ через веб-камеру. Кейлоггер записывает информацию, введённую жертвой, потенциально раскрывая пароли и другие конфиденциальные данные, введённые после первоначального заражения. Функциональность веб-камеры позволяет злоумышленнику получать видео с доступной камеры. WeedHack также предоставляет управление файлами и возможности удаленного выполнения команд.
Вредоносное ПО использует EtherHiding — технику, связанную с блокчейн-инфраструктурой, чтобы получить информацию о своих серверах командного управления и управления. WeedHack получает конфигурационную информацию через блокчейн Ethereum, делая части своей инфраструктуры более устойчивыми к традиционным доменным нарушениям. Также он использует криптографическую верификацию для проверки ответов, поступающих из своей командно-контрольной инфраструктуры.
Поскольку WeedHack сочетает кражу учетных данных с обширной возможностью удалённого доступа, заражение может раскрыть гораздо больше, чем просто аккаунт Minecraft. Злоумышленники могут получить доступ к другим онлайн-аккаунтам, личным файлам, информации о криптовалюте, коммуникациям и действиям, выполняемым на заражённом компьютере.
Удаление вредоносного ПО WeedHack следует сопровождаться дополнительными мерами безопасности. Учетные данные, которые могли быть доступны с заражённой системы, должны быть изменены с чистого устройства, активные сессии должны быть проверены и прекращены при необходимости, а также включать многофакторную аутентификацию на поддерживаемых сервисах. Скомпрометированный компьютер также следует тщательно просканировать с помощью проверенного программного обеспечения безопасности.
Как вредоносное ПО WeedHack заражает компьютеры
Вредоносное ПО WeedHack распространяется в основном за счёт эксплуатации интереса к модификациям Minecraft и неофициальным клиентам игр. Злоумышленники маскируют вредоносные JAR-файлы под моды, утилиты и другие загрузки, связанные с Minecraft, из-за чего файлы выглядят согласованными с программным обеспечением, часто используемым игроками.
Один из способов распространения связан с мошенническими сайтами, созданными для имитации легитимных проектов Minecraft или порталов для скачивания. Эти страницы могут содержать убедительные описания, оценки, счётчики скачиваний, отзывы и ссылки на реальные ресурсы сообщества. Их цель — убедить посетителей, что предлагаемая модификация или клиент Minecraft является легитимной.
Злоумышленники также используют YouTube, чтобы привлечь потенциальных жертв. Видео могут демонстрировать или рекламировать моды и клиентов Minecraft, одновременно направляя зрителей на внешние страницы для скачивания через описания или комментарии. Игрок, заинтересованный в получении продемонстрированного программного обеспечения, может скачать вредоносный JAR-файл, не подозревая, что он содержит WeedHack.
SEO-отравление — ещё один способ, связанный с этой кампанией. Злоумышленники создают и оптимизируют мошеннические страницы, чтобы они могли появляться в результатах поиска при поиске конкретных модификаций или клиентов Minecraft. Этот подход особенно эффективен, если легитимный проект не поддерживает чётко идентифицируемый официальный сайт для скачивания.
Вредоносный компонент также может быть вставлен в иначе функциональную модификацию Minecraft. Это усложняет обнаружение инфекции, поскольку загруженный мод может выполнять функции, заявленные на сайте, а WeedHack выполнять отдельно в фоне. Поэтому пользователи не могут считать загрузку безопасной только потому, что модификация Minecraft работает корректно.
Чтобы снизить вероятность заражения вредоносным ПО WeedHack, модификации и клиенты Minecraft следует получать с проверенных страниц проектов или надёжных платформ распространения модов. Ссылки, продвигаемые через незнакомые YouTube-каналы, рекламу, комментарии и новые сайты для скачивания, следует относиться с осторожностью.
Пользователям также следует избегать отключения антивируса или других средств защиты только потому, что установщик модов или страница для скачивания указаны на это. JAR-файлы из неизвестных источников следует рассматривать с такой же осторожностью, как и другие исполняемые материалы, поскольку Java-приложения могут содержать вредоносный код.
Поддержание обновления операционной системы, среды Java, браузеров и программного обеспечения безопасности может дополнительно снизить риск известных уязвимостей и улучшить обнаружение вредоносного ПО. Регулярные резервные копии важных файлов должны вести отдельно от основного компьютера.
Если незнакомый мод или клиент Minecraft уже запущен и подозревается заражение WeedHack, простое удаление мода недостаточно для устранения учетных данных или токенов сессии, которые могли быть уже украданы. Компьютер должен быть проверен на наличие вредоносного ПО, а потенциально уязвимые аккаунты должны быть защищены от доверенного устройства.